Nadie roba la clave en todo esto. Eres tú quien le da a un contrato ajeno el derecho a disponer de tu token, y a partir de ahí lo usa tantas veces como quiera.
Cómo funciona
El estándar del token incluye un permiso: el dueño indica una dirección y el importe hasta el que esa dirección puede retirar tokens de su monedero. El derecho es de uso repetido y sin caducidad: mientras el número no se ponga a cero, se puede retirar en cualquier momento. El «permiso ilimitado» que piden muchos sitios es sencillamente el número más grande posible.
A partir de ahí tu firma no hace falta: la transferencia la inicia quien tiene el permiso. Los análisis de estos robos muestran que no se lo llevan enseguida: lo típico es esperar a que al monedero llegue una recarga reciente desde una plataforma. Un monedero de hardware no ayuda aquí: nadie intentó siquiera robar la clave.
Cómo revocar
Revocar es la misma operación, pero con el importe a cero: una transacción normal por la que se paga la comisión de la red. El camino depende de la red, y eso es lo principal. En las redes de la familia Ethereum la lista de permisos la muestran el servicio revoke.cash y la pestaña de comprobación de permisos del explorador. Mirar se puede con la dirección a secas, sin conectar nada, pero revocar solo conectando ese mismo monedero: el permiso de otra persona no se puede poner a cero. Y activa enseguida en el servicio la opción «Show all approvals»; sin ella la lista no se muestra entera. Un gestor de permisos integrado en MetaMask no existe: revocar se ha sacado a una aplicación web aparte, MetaMask Portfolio. Para TRON estos caminos no sirven: revoke.cash solo admite redes EVM, y TRON no es una de ellas. Allí se mira en el propio TronLink — «Wallet Management» → «Approval Management» — o en Tronscan, en la página «ACCOUNT», sección «LIST OF APPROVAL».
Medición del 19.09.2026: en Ethereum revocar costaba unos cuatro céntimos y en TRON unos 1,14 $ por permiso, porque allí se aplica el mismo recargo por contrato congestionado. Por eso en TRON se limpia por prioridad, empezando por los permisos ilimitados sobre USDT. Y una precaución aparte: los falsos «servicios de revocación» resultan ser drainers ellos mismos; en abril de 2026 se registraron cinco campañas de ese tipo que pescaban a quienes ya habían sido víctimas.
Lo que revocar no hace
No devuelve lo que ya se han llevado. Esto es prevención, no recuperación; quien promete devolver lo robado suele ser él mismo un estafador. Pero los permisos que ya se han usado hay que revocarlos igualmente: si no, del mismo monedero se llevarán el dinero otra vez en cuanto aparezca.
No sirve si se ha filtrado la frase semilla. Los permisos no se han ido a ninguna parte; lo inútil es la operación en sí: el ladrón tiene la clave entera y firma lo que quiera sin necesidad de permiso alguno. Solo hay una salida: un monedero nuevo y pasar a él lo que quede.
Revocar en una red no revoca en otra. Cada permiso vale para un token en una red: si lo pones a cero en Ethereum, no has cambiado nada en BNB Chain. Hay que ir red por red.
Y en cada dirección por separado. El permiso va ligado al titular, así que cada dirección dentro de un mismo monedero tiene su propio conjunto: hay que limpiar todas aquellas con las que te hayas conectado a sitios web.
En cambio, revocar no toca los depósitos ni el staking. Poner los permisos a cero no afecta a los tokens ya depositados ni a los que están en staking; no hay por qué temer que la limpieza rompa tus posiciones. La única consecuencia: para añadir más a esa misma posición habrá que volver a dar el permiso.
«Desconectar el monedero del sitio» no es revocar. Desconectar le quita al sitio el acceso a tu dirección, pero los permisos que diste siguen activos.
Poner a cero no anula un permit ya firmado pero todavía no ejecutado: un permiso dado con una firma, sin transacción. El valor actual del permiso no entra en las condiciones de su ejecución, y la ejecución sobrescribirá tu cero. Una firma así se anula de otra manera, gastando su contador con una transacción propia, y la ventana para hacerlo es pequeña. Y si el permit ya se ha ejecutado, la revocación normal sí funciona, y es justo lo que hay que hacer.
Más sobre esto: Cómo guardar la frase semilla para que no te la saquen